Regra do alerta para mensagens "SSH como raiz" com êxito.
Foi detetada uma autenticação SSH como raiz nos ficheiros de registo do sistema.
Esta regra está desativada por predefinição. Para ativar esta regra para a monitorização, utilize substituições para configurar o caminho do ficheiro de registo e ativar a regra. O caminho do ficheiro de registo está definido com a propriedade substituível com o nome LogFile, e o valor tem de ser definido para o caminho completo para o ficheiro de registo que vai receber estes eventos, tal como definido na configuração do syslog. As substituições podem ser utilizadas para alterar os valores de parâmetros de todas as instâncias ou de instâncias ou grupos específicos.
É possível que utilizadores tenham tido acesso a contas com privilégios. Este monitor permite aos administradores do sistema controlar inícios de sessão diretos como utilizador raiz.
A descrição do alerta e/ou do item de dados de saída contém informações sobre o evento encontrado. Se este evento parece suspeito, verifique os detalhes do evento associado e quaisquer outros eventos que tenham acontecido perto da hora deste evento.
Target | Microsoft.AIX.7.Computer | ||
Category | EventCollection | ||
Enabled | True | ||
Alert Generate | True | ||
Alert Severity | Information | ||
Alert Priority | Normal | ||
Remotable | True | ||
Alert Message |
|
ID | Module Type | TypeId | RunAs |
---|---|---|---|
EventDS | DataSource | Microsoft.Unix.SCXLog.Datasource | Default |
GenerateAlert | WriteAction | System.Health.GenerateAlert | Default |
<Rule ID="Microsoft.AIX.7.LogFile.Syslog.SSHAuth.Root.Success.Alert" Target="Microsoft.AIX.7.Computer" Enabled="true" Remotable="true">
<Category>EventCollection</Category>
<DataSources>
<!-- [TYPE] AIX7 SSH True -->
<!-- [INPUT] Jun 2 14:24:01 scxomd-aix7-01 auth|security:info sshd[6357222]: Accepted password for root from 10.195.175.198 port 58237 ssh2 -->
<!-- [INPUT] Jun 2 14:24:01 scxomd-aix7-01 auth|security:info sshd[6357222]: Accepted hostbased for root from 10.195.175.198 port 58237 ssh2 -->
<!-- [INPUT-MISS] Jun 2 14:24:01 scxomd-aix7-01 auth|security:info sshd[6357222]: Accepted password for jeffcof from 10.195.175.198 port 58237 ssh2 -->
<DataSource ID="EventDS" TypeID="Unix!Microsoft.Unix.SCXLog.Datasource">
<Host>$Target/Property[Type="Unix!Microsoft.Unix.Computer"]/PrincipalName$</Host>
<LogFile>/var/adm/ras/syslog.caa</LogFile>
<RegExpFilter>sshd\[[[:digit:]]+\]: Accepted [^[:space:]]+ for root from [^[:space:]]+</RegExpFilter>
<IndividualAlerts>false</IndividualAlerts>
</DataSource>
</DataSources>
<WriteActions>
<WriteAction ID="GenerateAlert" TypeID="SystemHealth!System.Health.GenerateAlert">
<Priority>1</Priority>
<Severity>0</Severity>
<AlertMessageId>$MPElement[Name="Microsoft.AIX.7.LogFile.Syslog.SSHAuth.Root.Success.AlertMessage"]$</AlertMessageId>
<AlertParameters>
<AlertParameter1>$Data/EventDescription$</AlertParameter1>
</AlertParameters>
<Suppression>
<SuppressionValue/>
</Suppression>
</WriteAction>
</WriteActions>
</Rule>